Google a publié mercredi une preuve de concept pour une vulnérabilité présente dans son navigateur Chromium, qui n'a pas été corrigée depuis 29 mois. Cette faille affecte Chrome, Microsoft Edge et d'autres navigateurs basés sur Chromium utilisés par des millions de personnes dans le monde. Elle permet aux attaquants d'établir des connexions persistantes afin de surveiller l'activité des utilisateurs et de lancer des attaques.
L'exploit cible l'interface de programmation Browser Fetch, qui gère les téléchargements en arrière-plan de fichiers volumineux. Une fois activé, il crée un service worker capable de rouvrir des connexions même après le redémarrage du navigateur ou de l'appareil. Cette configuration permet à un appareil compromis de rejoindre un botnet limité pour relayer du trafic ou permettre des attaques par déni de service sans pour autant accorder un accès plus profond au système.
